购买的不是手机、黄金等传统高风险商品，而是餐饮团购券；每笔金额都没有超过500元，券码却在生成后迅速流向外地，并在北京、南京、南通、义乌、金华等地被核销。用户醒来后才发现，自己没有直接损失银行存款，却多出了一张需要偿还的美团月付账单。事件发生在美团，资金来自月付，但从支付行业视角看，还有一个不能被略过的持牌主体——钱袋宝。钱袋宝官网显示，其为美团全资控股的第三方支付公司。现行《美团支付服务协议》由北京钱袋宝支付技术有限公司与用户签订，协议将钱袋宝的服务界定为资金转移、支付指令传递、交易管理及辅助服务，其中还包括完成用户支付以及收取本息、代偿金等款项。当然，美团月付的授信资金由美团小贷及合作金融机构提供，团购券的生成、转赠和核销又由场景平台及商户处理。而当单笔500元免密没有被突破，却被连续利用时，一家深度嵌入超级平台的持牌支付机构，究竟能够看见什么，又应当看见什么？
500元没有被突破，规则却被反复利用
据红星新闻报道，多地用户反映，美团账户在本人不知情的情况下，通过美团月付连续购买异地团购券，损失从1000余元至4000余元不等，涉事用户均开启了500元以下免密支付。广西梧州一名用户在7月23日凌晨2时35分至43分，短短8分钟内连续产生4笔订单，金额分别为456.59元、377.88元、378元和457元，合计1669.47元。没有一笔超过500元，却迅速形成千元损失。甘肃用户全先生7月21日凌晨被刷走约2475元，购买的5张团购券随后在北京、南京、南通、义乌等地核销。7月24日，其账户再次出现约1500元异常交易，最终是绑定信用卡的银行发出风险提示并暂停交易，他才及时退掉尚未核销的券。这暴露的不是一个简单的“免密额度过高”问题，而是单笔规则与累计风险之间的断层：500元限制的是单笔验证门槛，不是账户的整体风险敞口。值得注意的是，钱袋宝现行支付服务协议已经写明，其可以基于交易安全设定交易限额和交易次数，也可以根据支付场景、风险控制和身份验证等因素调整收付款额度。当一个账户在凌晨8分钟内连续发生4笔免密交易，金额均接近500元上限时，交易次数控制和短时累计风险为什么没有触发更高等级验证？如果每一笔交易都从零开始判断，所谓“500元免密”就可能被异化为“每次500元、次数不限”。同一部手机，能否证明是本人支付？
7月29日晚，美团回应称，经逐一核查，相关用户很大概率遭遇了新型电信诈骗。按照其披露的作案链条，犯罪分子以“刷单返利”“高额佣金”为诱饵，诱导用户点击含有木马程序的链接，继而远程操控用户手机，批量购买热门餐厅、景区等团购券，再通过在线二手平台转卖变现。美团同时表示，犯罪分子操控的是用户本人的手机，交易设备、网络环境和地理位置与用户日常使用环境基本一致，传统风控较难识别。这个解释揭示了远程控机诈骗的难点，却没有完全回答支付授权问题。同一部手机，只能说明指令来自用户设备，不能当然证明指令体现了用户的真实意愿。钱袋宝公开的《美团支付个人信息保护政策》显示，为保障交易安全，其可以在获得授权后收集设备状态、设备环境、常用软件等信息，综合用户使用习惯判断账户及交易风险；当安全风险等级提高时，还可以要求用户再次验证，并记录可能存在风险的链接。这意味着，当设备指纹无法区分本人操作与远程控制时，风险判断就不能只停留在“是不是这部手机”，还应进一步判断“这是否像用户本人会做的事情”。攻击者可能骗过设备验证，却未必能够骗过交易意图识别。当设备、网络和地理位置都“像本人”时，支付风控是否仍在识别用户的真实交易意图？真实订单，不等于低风险交易
这起事件最值得支付行业警惕的地方，是每个环节都可能看起来很“真实”。资金支付给了真实商户，购买的是平台真实上架的团购券，券码最终也可能由真实消费者核销。二手平台上的买家，甚至可能完全不知道上游资金来自被盗用的消费信贷额度。订单真实、商户真实、核销真实，却不能反向证明用户授权也是真实的。团购券之所以被黑产选中，也并非偶然。与普通实物商品相比，这类数字权益具备即时交付、容易转移、需求稳定、折价变现和核销后难以逆转等特征。它在法律上不是货币，却在特定链条中承担了价值转移工具的功能：资金没有直接转入陌生银行卡，也没有经过传统提现按钮，但消费信贷资金已经通过数字权益完成了变现。钱袋宝的支付风控究竟能否识别商品属性，还是只能看到金额、设备和账户？普通餐饮消费与凌晨批量购买可转赠团购券，显然不应适用完全相同的风险标准。钱袋宝未必负责团购券的发行和核销，但其并不是一家远离交易场景、只能看到支付报文的独立支付机构，而是美团全资控股、深度服务于美团生态的持牌支付公司。钱袋宝能否识别所购商品属于可转赠、易流通的数字券码，能否看到购买地、用户所在地、商户所在地及最终核销地之间的异常分离？独立支付机构可能看不见商品，但深度嵌入平台的支付机构不应只看见金额。现行《非银行支付机构监督管理条例》要求支付机构建立风险管理和用户权益保障机制，了解用户交易背景及风险状况，并采取相应风险管理措施。因此，支付与场景之间不能只有交易指令，还应当存在合规、必要且有效的风险信息传递。“已经核销”，不能回答“是否授权”
事件曝光初期，部分用户被告知，团购券已经核销，无法退款；如需查询后台详情，需要报警后通过司法调证程序获取。美团在最新回应中表示，平台已开通盗刷专项处理通道，对未核销订单及时拦截，对已核销订单启动专项评估。这是必要的止损措施，但“券码是否核销”和“支付是否经用户授权”，仍然是两个不同问题。“券已核销”只能证明某个持券人使用了服务凭证，不能直接证明原账户用户授权使用了月付额度，也不能自动完成对相应信贷债务的确认。钱袋宝现行协议约定，美团平台上的交易问题主要由美团平台按照其规则处理，钱袋宝可以根据美团平台指令处置争议款项。但商品退款争议与未经授权支付争议不能简单混为一谈。《电子商务法》第五十七条规定，未经授权支付造成的损失，原则上由电子支付服务提供者承担；服务提供者能够证明未经授权支付因用户过错造成的，可以不承担责任。服务提供者收到未经授权支付通知后，还应立即采取措施防止损失扩大。部分用户点击了不明链接，可能成为判断其是否存在过错的重要事实。但这不意味着可以跳过对以下问题的审查：- 已提出异议的月付账单是否暂停催收、罚息和信用处理。
用户是否存在过错、平台风控是否充分、支付机构是否履行止损义务，应当分别根据合同、技术日志和警方调查结果认定，不能仅凭“本机操作”或者“券已核销”概括处理。另外还需要关注付款提醒通过什么渠道发送？用户投诉后，支付、发券、转赠和核销系统能否立即联动，冻结尚未核销的券码？这些问题的答案不仅关系到具体消费者损失由谁承担，也关系到钱袋宝作为持牌支付机构，在美团金融生态中究竟只是一个资金通道，还是一个真正承担风险识别职责的支付主体。结语
美团将此次事件定义为互联网行业共同面对的新型诈骗挑战，这一判断并不为过。当银行转账越来越容易触发风控，犯罪分子正在寻找新的价值出口。消费信贷额度、免密支付、数字权益和二手交易平台一旦被串联，就可能形成一条不经过传统提现按钮的变现通道。小额免密免掉的是用户逐笔输入密码的动作，还是支付机构持续识别风险的责任？对于深度嵌入互联网平台的支付机构而言，它的生态价值更应体现在：当每一笔订单看起来都是真的时候，仍然能够识别出哪一笔支付不是用户真正想做的。
